法規與監理 2024年11月

獨董在併購案的經營判斷原則

拒當大股東的橡皮圖章
撰文:駱秉寬

灣首次2家金控公司(台新金與新光金)的合意併購案,引發金融業和社會大眾的廣泛討論與關注,也是檢視資本市場公司治理好壞的教科書級案例。10月9日,台新金控與新光金控分別召開股東臨時會,新光金控股東會的普通股出席率高達85.63%,特別股出席率達73.06%,普通股以72.29%贊成、特別股以79.21%贊成通過本次合併案,台新金控股東會也通過「新新併案」。從這些過程有看到一個問題是:在金融業併購案發生時,身為董事或者獨董到底要扮演如何的角色?萬一,受害股東向法院訴訟請求董事和獨立董事沒有善盡把關責任造成股東權益損害時,要負擔如何的責任?美國的經營判斷原則在我國法院有無適用的餘地?都值得探究。

金控併購案 獨董角色舉足輕重

無論是「合意」或「非合意」併購案,獨立董事在審計委員會及董事會均扮演非常重要的角色,依照企業併購法(下稱「企併法」)第六條規定,公開發行股票之公司於召開董事會決議併購事項前,應由審計委員會或設置特別委員會,就本次併購計畫與交易之公平性、合理性進行審議,並將審議結果提報董事會及股東會。且特別委員會或審計委員會進行審議時,應委請獨立專家協助就換股比例或配發股東之現金或其他財產之合理性提供意見等云云;是以,本件台新金控、新光金控進行合意併購時,應由各該金控的獨立董事組成的審計委員會審議,就本次併購計畫與交易之公平性、合理性進行審議,並將審議結果提報董事會及股東會。

由於我國公司法採「董事會優位主義」,併購案的推動須由董事會發動才得據以執行,公司法第202條並明確規範「公司業務之執行,除本法或章程規定應由股東會決議之事項外,均應由董事會決議行之」,且金控、銀行等公開發行股票公司關於重大的資產交易或與他企業併購事宜,應先經審計委員會全體成員1/2以上同意,並提董事會決議:獨立董事如有反對意見或保留意見,應於董事會議事錄載明。如未經審計委員會全體成員1/2以上同意者,得由全體董事2/3以上同意行之。

且金融業遇有併購、分割、處分或受讓主要資產,或營業讓與,或委託經營等重大事件時,立法者更要求董事會須以重度決議方式始可為之;學者主張董事會決議應比照公司法第185條第一項、第四項股東會的決議方式,即公司為讓與、受讓全部的營業或財產,對公司營運有重大影響,應由有2/3以上董事出席之董事會,以出席董事過半數之決議,才能提請股東會決議之。

董事(獨董)在併購案之三大功能

是以,獨立董事在企業處理金控併購案應扮演營運決策、監督控制及專業諮詢的角色,以發揮其應有功能:

併購決策:董事(獨董)是董事會的一員,對於公司的併購決策擔負決策責任,需審查併購案對金融業的加乘效益,評估2家金控整併能夠產生的綜合效應,補強本身的弱項,來提升金融業的營運規模、業務發展能力、財務結構與國際開拓能力等。

監督控制:董事(獨董)應監督併購案的進行是否遵照現行法規如金融控股公司法和相關法規、企併法、證券交易法、公司法等,以及公司章程和內控內稽制度(例如公開發行公司取得或處分資產處理準則,下簡稱「取處準則」)等相關規範,以監督經營團隊,避免觸法。同時,更要審查併購計畫與交易的公平性、合理性,併購方或目標公司的實際營運與財務實力、企業規模、資產、獲利能力、員工素質等,透過盡職調查來掌握對方的真實體質,減少併購評估可能的誤差。

專業諮詢:金控於決議併購事項前,應由獨董所組成的審計委員會或特別委員會審議,依據取處準則規定,要委託獨立第三人提供專家意見,就併購換股價格提出合理的評估意見;若未取得適當之專業顧問意見或徵詢其他有意併購條件更佳業者的報價、洽商,基於資訊不足之情況所做之經營判斷,可能會被認為違反注意義務,故獨立董事面對如此重大併購案時,應多多徵詢獨立第三方的專家意見,蒐集完整、充分的意見,以作為決策參考。

董事(獨董)應盡忠實及注意義務

依公司法第23條規範意旨,董事對公司負有受託人義務(Fiduciary duty)。依通說見解,受託人義務項下又細分為兩種義務類型,分別是「注意義務」(Duty of care)與「忠實義務」(Duty of loyalty),不得圖謀自己或第三人之利益。

其次,企併法第五條也規定,公司進行併購時,董事會應為公司之最大利益行之,並應以善良管理人之注意,處理併購事宜。公司董事會違反法令、章程或股東會決議處理併購事宜,致公司受有損害時,參與決議之董事,對公司應負賠償之責。但經表示異議之董事,有紀錄或書面聲明可證者,免其責任。故倘董事會違反法令、章程或股東會決議所做的併購決策,獨立董事自當承擔損害賠償之責。

董事(獨董)需秉持公司最大利益

不僅如此,董事(獨董)於處理公司事務時,必須出自為公司之最佳利益之目的,不能利用職位圖謀自己或第三人之利益;例如董事(獨董)與其他公司間的自己交易、有相同董事(獨董)兩家公司間的交易、董事(獨董)從交易中得到私人利益(例如收受回扣或佣金等)等,均屬於有損金融業本身的利益,而非為公司最大的利益決定。

有鑑於此,在英美法系國家,透過相關案例的累積發展出「經營判斷原則」(Bnsiness Judgement Rule),形成對董事(獨董)行為之司法審查標準,有條件地降低擔任董事(獨董)之法律風險,以鼓勵積極任事、勇於承擔風險。依照美國經營判斷法則(BJR),董事(獨董)對於併購的判斷與決定,若係基於善意,且係資訊充足及誠信判斷,合理的相信其所採取的決策對公司有利者,除非有資訊不足或惡意決定或利益衝突,否則法院將尊重該商業決策的合法性,不做事後審查;換言之,即使有股東對董事(獨董)提出求償,法院也不會追究個別董事或獨立董事的民事法律責任,即是採取相同的旨趣。

決策應受實質法律保護

「經營判斷原則」在實際案件的運用上,以本件新光金控的董事(獨董)為例,除非原告股東可以舉證證明被告董事(獨董)的併購決策符合以下5項要件,否則,董事(獨董)和其併購決策就應該受到實質性的法律保護:

非屬商業決定:併購決策應屬於商業的決定與判斷。

有利害關係、非基於獨立之立場所為的商業判斷:倘新光金的董事(獨董)對於台新金控間的併購有利害關係、有利益衝突,乃非基於獨立、專業立場對公司發展有利的決策判斷。

未盡注意義務:董事(獨董)要盡善良管理人的注意義務,促使金控併購案的進行均依照金控法及併購相關法規、公司章程及股東會決議行之,倘董事(獨董)未履行有相當金控知識及經驗專業人士應有的注意義務,即有可能構成。董事會或審計委員會審議如此重要的併購案,倘未委請獨立財務會計專家就併購價格及程序的合理性與公平性提供專業意見,即認欠缺此注意義務。

基於惡意為之:倘董事(獨董)不以公司最大利益行之,且知道本併購決策有可能會損及到新光金控大多數股東的權益。

有濫用裁量權:倘公司董事(獨董)所為之商業決定,係處於資訊不足的情況下,例如對金控的併購價格與淨值差異、溢折價程度、轉換價格評估,以及刻意忽略其他競逐者更高收購價格的提出等,即有濫用裁量權之可能。

而我國司法機關從過去反對引用經營判斷原則,已透過許多判決,在個別案例中承認我國公司法的董事(獨董)有經營判斷原則的適用,以金尚昌公司與關係人以土地抵償交易一案,臺灣高等法院103年度金上重訴字第29號刑事判決要旨指出:「按經營判斷法則(Business Judgment Rule,或稱之為「商業判斷法則」)乃美國法上於其判例法中發展出所建立之原則。而治理原則中關於經營判斷法則之規定是,⋯⋯對於董事或經理人在充分資訊掌握下之合理相信視為公司最大利益之經營判斷,提供一個安全港(Safe Harbor),亦即法院在追究董事責任時,原則上在無反證情況下,推定董事係基於善意且為公司最佳利益,對公司做出經營決策,保障董事其於做出經營決策後,若有致公司損失無庸負責任,防止法院於訴訟中以日後較為充分之資料與環境來論斷公司董事當時之經營判斷是否合理,產生不公平之審查,並鼓勵董事勇於任事、降低法律對企業經營的負面牽制。」

要言之,「商業判斷法則」本質上係經營階層如董事、獨立董事、經理人從事併購商業經營行為決定時,若具備「為公司牟取最大利益」、獨立性、盡注意義務、善意、未濫用裁量權5項經營判斷法則,則可推定其具善良管理人的注意義務,就無須對公司及股東負損害賠償責任。

應發揮監督控制之善良管理人之職責

時值台灣首次發生攸關新台幣8兆元以上資產的金控合意併購案,適足以檢視兩家金控公司治理的好壞,董事會是公司治理的核心,獨立董事又是董事會的關鍵人物,應努力發揮業務決策、監督控制及專業諮詢的功能與盡責,不能成為實質大股東的橡皮圖章,以免淪為小股東或投保中心請求損害賠償的對象。

董事(獨董)在金融業合意或非合意併購案件,均扮演重要角色,只要在併購決策時資訊充足、獨立沒有利益衝突、善意、沒有濫用裁量權、遵守法規及公司治理的立場所做的商業決定,依照美國經營判斷法則和我國法院近來相關判決案例就無所畏懼了!

最後,董事(獨董)在處理金融業併購案時要確實理解企併法第五條的規範精神,應以公司之最大利益行之,並應以善良管理人之注意,處理併購事宜。尤其是獨立董事須清楚了解本身職責所在,維持其專業與獨立性,避免利益衝突,不要淪為大股東的部屬,以減輕本身可能要承擔的商業決策風險,特別是當董事會意見分歧時,更是檢視公司治理成效的最佳時機。(本文作者為中華獨立董事協會理事長)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)